PT-2026-71346
CVE-2026-73492
·
تاريخ النشر
2026-07-21
·
تاريخ التحديث
2026-10-16
الوصف من
CVSS 4.0
2.3
منخفضةالمقاييسAV:N/AC:H/AT:N/PR:L/UI:N/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Loofah من 2.25.0 إلى 2.25.1
الوصف
Loofah هي مكتبة مخصصة لمعالجة وتحويل مستندات وأجزاء HTML/XML. تفشل الدالة
allowed uri? الموجودة داخل Loofah::HTML5::Scrub في رفض عناوين URI التي تبدأ بـ javascript: أو vbscript: عندما يتم تقسيم المخطط بواسطة مراجع أحرف رقمية بدون فواصل منقوطة، مثل : أو 	 أو 
 أو 
. ونظرًا لأن CGI.unescapeHTML تترك هذه المراجع مشفرة، فإن الدالة تحدد عنوان URL بشكل خاطئ على أنه آمن. ومع ذلك، تقوم متصفحات الويب بفك تشفير علامات النقطتين المشفرة هذه أو إزالة المسافات البيضاء المشفرة، مما يؤدي إلى تنفيذ مخطط عنوان URI. تؤثر هذه المشكلة فقط على المستدعين الذين يمررون سلاسل مشفرة بتنسيق HTML مباشرةً إلى الدالة allowed uri?؛ ولا يتأثر المسار الافتراضي sanitize().التوصيات
قم بالتحديث إلى الإصدار 2.25.2.
تجنب تمرير سلاسل مشفرة بتنسيق HTML مباشرةً إلى دالة
allowed uri?. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾